内部監査

Drataでは、外部の監査と同じ流れで、内部監査を計画し、実施し、管理できます。依頼事項、証跡、やり取りを1カ所にまとめられるため、スプレッドシートに書き出したり、別のツールを使ったりせずに済みます。このページでは、Drataで内部監査を行う方法として、Internal Auditorのロールでできること、内部監査の作成と進め方、外部の監査と同じ流れで依頼事項と証跡を扱う方法を説明します。

内部監査の機能でできること

できること	内容
作成	内部監査を作る
割り当て	同期しているユーザーのディレクトリーから、内部監査人を割り当てる
管理	外部の監査と同じ流れで、依頼事項と証跡を管理する
区別	内部監査を外部の監査とひと目で見分けられる

内部監査を扱うには、AdminかInternal Auditorのロールが必要です。

ロールと権限

ロール	できること
Admin	内部監査を作る。内部監査人を割り当てる。監査の設定を管理する。証跡をアップロードし、管理する
Internal Auditor	割り当てられた内部監査にだけアクセスできる。その監査の中で依頼事項を作り、管理する。外部の監査で外部の監査人が行うのと同じように、Messagesの欄でやり取りする。依頼事項に添付された証跡を見る

【注意】 現時点では、内部監査人は証跡をアップロードしたり削除したりできません。証跡のアップロードは、Adminなどの権限のあるユーザーが行います。ロールの設計は、ロールと権限の設計で説明しています。

内部監査を作成する

1. 左側のナビゲーションのCompliance → Auditsを開きます。
2. Create auditを選びます。
3. Audit typeでInternal auditを選び、Conduct audit in Drataを選びます。
4. Audit detailsで、Frameworkを選び、Audit periodを設定して、Continueを選びます。
5. Assign internal auditorsの段階で、割り当てるユーザーを1人以上選びます。
6. 選び終わったら、Continueを選びます。
7. Reviewの段階で、監査の種類（内部）、フレームワーク、監査対象期間、割り当てた内部監査人（名前とメールアドレス）を確かめます。
8. Continueを選び、監査を作ります。

Create Auditの画面。監査の種類で内部監査を選び、Drataの中で監査を進める方法を選ぶ

内部監査人として選べるのは、IDプロバイダーから同期しているユーザーだけです。Add new auditorで加えられるのは自社の外の監査人だけで、社内の要員は、IDプロバイダーから同期したユーザーの中から選びます。IDプロバイダーとの連携は、IDプロバイダーとの連携で説明しています。

作成した内部監査は、Auditsページの一覧に、フレームワークの名前の下にInternal auditと書かれたカードで表示されます。Start auditかOpen auditを選ぶと、依頼事項の作業を始められます。

内部監査を進める

内部監査では、外部の監査の依頼事項の一覧、Messagesの欄、証跡の流れをそのまま使います。監査の間は、次のように分担します。

担当	行うこと
内部監査人	割り当てられた監査の中で、依頼事項を作り、管理する。証跡を確かめ、Messagesの欄でやり取りする
Adminなどの権限のあるユーザー	依頼事項に証跡をアップロードする

内部監査は、監査のカードと監査の上部の表示で、外部の監査と見分けられます。依頼事項の一覧の見方、証跡の確かめ方、メッセージのやり取りは、外部の監査と同じです。監査人からの依頼への対応で説明しています。

【運用のポイント】 コントロールを運用する人（Control Managerなど）と内部監査で確かめる人（Internal Auditor）を分ける考え方は、ロールと権限の設計で説明しています。ISO 27001の内部監査で内部監査人に求められる独立性や、内部監査の報告書を証跡として登録するコントロールは、ISO 27001を進めるで説明しています。